【正文】 （ Independent ） 和 受 控 方 式（ Ordered） 。 在獨(dú)立方式中 ， 任何節(jié)點(diǎn)可以在任何時候?yàn)槊恳粋€它認(rèn)識的流進(jìn)行標(biāo)記分發(fā)； 受控方式中 ， 一個流的標(biāo)記分發(fā)從這個流所屬的出口節(jié)點(diǎn)開始 ， 這樣可以保證整個網(wǎng)絡(luò)內(nèi)標(biāo)記與流的映射是完整一致的 。 93 不論是獨(dú)立還是受控方式 ， 可以采用自由模式 （ liberal mode ） 或 保 守 模 式（ conservative mode） 分發(fā)標(biāo)記 。 在自由模式中 ， 向所有鄰近的 LSRs分發(fā)一個 FEC的標(biāo)記 ， 而不管自己是否是這些節(jié)點(diǎn)在此 FEC上的下一跳 。 這樣做的優(yōu)點(diǎn)是當(dāng)路由發(fā)生變化時 ， 可以立即使用預(yù)先分發(fā)好的標(biāo)記 ， 但這將消耗更多的標(biāo)記 。 保守模式只分發(fā)給下一跳是自己的那些節(jié)點(diǎn) ， 這樣可以節(jié)省標(biāo)記空間 。 94 MPLS將面向連接的概念部分引入 IP網(wǎng)絡(luò)， 數(shù)據(jù)包在 MPLS網(wǎng)絡(luò)中沿著標(biāo)簽交換路徑（ LSP）轉(zhuǎn)發(fā)。 LSP的建立可以兩種方式進(jìn)行： 獨(dú)立的 LSP控制方式（ Independent LSP Control）和順序的 LSP控制方式（ Ordered LSP Control）。 在獨(dú)立控制方式中， 每個 LSR針對它所能識別的某個 FEC， 各自獨(dú)立地決定將某個標(biāo)簽綁定在上面， 并向?qū)Φ裙?jié)點(diǎn)發(fā)布該標(biāo)簽 ——FEC綁定消息。 這與傳統(tǒng) IP數(shù)據(jù)報路由選擇方式相似： 各個節(jié)點(diǎn)獨(dú)立地決定如何處理各 IP包， 依賴于路由選擇算法的迅速收斂來保證每個數(shù)據(jù)報的正確傳遞。 95 而在順序的 LSP控制方式中， 只有在某個 LSR是特定 FEC的出節(jié)點(diǎn)， 或者該 LSR已經(jīng)從該 FEC的下一跳收到一個關(guān)于該 FEC的標(biāo)簽綁定信息時， 才將一個標(biāo)簽綁定到該 FEC上并向上游發(fā)布。 對于傳統(tǒng)的 IP網(wǎng)絡(luò) ， 可以使用生存時間(TTL)來限制環(huán)路 （ Loop） 對網(wǎng)絡(luò)性能的降低 。 96 而用 ATM交換硬件來實(shí)現(xiàn) MPLS交換功能時 ， 標(biāo)簽由 VPI／ VCI域攜帶 。 由于 ATM硬件不能進(jìn)行 TTL遞減操作 ， 因此無法提供環(huán)路保護(hù) 。 另外 ， ATM交換機(jī)一般不支持多點(diǎn)到點(diǎn)和多點(diǎn)到多點(diǎn) VC， 因而交換機(jī)就無法支持VC合并 ， 所以用 ATM交換機(jī)實(shí)現(xiàn) MPLS的關(guān)鍵是環(huán)路的檢測預(yù)防以及 VC合并 。 97 3． IP over ATM IP over ATM的優(yōu)點(diǎn)： （ 1） 由于 ATM技術(shù)本身能提供 QoS保證 ， 因此可利用此特點(diǎn)提高 IP業(yè)務(wù)的服務(wù) 質(zhì)量 。 （ 2） 具有良好的流量控制均衡能力以及故障恢復(fù)能力 ， 網(wǎng)絡(luò)可靠性高 。 （ 3） 適應(yīng)于多業(yè)務(wù) ， 具有良好的網(wǎng)絡(luò)可擴(kuò)展能力 。 （ 4） 對其他幾種網(wǎng)絡(luò)協(xié)議如IPX等能提供支持 。 98 IP over ATM的缺點(diǎn)： （ 1） IP over ATM還不能提供完全的QoS保證 。 （ 2） 對 IP路由的支持一般 ， IP數(shù)據(jù)包分割加入大量頭信息 ， 造成很大的帶寬浪費(fèi)（ 20％ ～ 30％ ） 。 （ 3） 在復(fù)制多路廣播方面缺乏高效率 。 （ 4） 由于 ATM本身技術(shù)復(fù)雜 ， 從而導(dǎo)致管理復(fù)雜 。 99 IP over SDH IP over SDH以 SDH網(wǎng)絡(luò)作為 IP數(shù)據(jù)網(wǎng)絡(luò)的物理傳輸網(wǎng)絡(luò)。 它使用鏈路及 PPP協(xié)議對IP數(shù)據(jù)包進(jìn)行封裝， 把 IP分組， 根據(jù)RFC1662規(guī)范簡單地插入到 PPP幀中的信息段。 再由 SDH通道層的業(yè)務(wù)適配器把封裝后的 IP數(shù)據(jù)包映射到 SDH的同步凈荷中， 然后向下， 經(jīng)過 SDH傳輸層和段層， 加上相應(yīng)的開銷， 把凈荷裝入一個 SDH幀中， 最后到達(dá)光層， 在光纖中傳輸。 SDH是基于時分復(fù)用的， 在網(wǎng)管的配置下完成半永久性連接的網(wǎng)， 在 IP over SDH中， SDH只可能有一種工作方式， 即 SDH只可能以鏈路方式來支持 IP網(wǎng)。 100 SDH作為鏈路來支持 IP網(wǎng) ， 由于它不能參與 IP網(wǎng)的尋址 ， 它的作用只是將路由器以點(diǎn)到點(diǎn)的方式連接起來 ， 提高點(diǎn)到點(diǎn)之間的傳送速率 ， 它不可能從總體上提高 IP網(wǎng)的性能 。 這種 IP網(wǎng)其本質(zhì)上仍是一個路由器網(wǎng) 。 IP網(wǎng)整體性能的提高將取決于路由器技術(shù)是否有突破性進(jìn)展 。 千兆路由器在技術(shù)上是有突破的 ， 但是技術(shù)的突破帶來了設(shè)備復(fù)雜度的提高 ， 由于這種突破性技術(shù)目前并不能廣泛用于普通路由器中 ， 除非全網(wǎng)路由器都采用千兆路由器 （ IP over SDH） ， 否則就不可能從整體上提高 IP網(wǎng)的水平 。 101 另外 ， SDH是依靠網(wǎng)管來完成端到端的半永久性連接的配置的 ， 一個大網(wǎng)完全依靠網(wǎng)管來配置是不可想象的 。 所以 ， 千兆路由器（ IP over SDH） 只可能在干線上用 ， 用以疏導(dǎo)高速率數(shù)據(jù)流 。 IP over SDH保留了 IP面向無連接的特征 ， 其分層模型與封裝示意如圖 。 102 圖 IP over SDH分層模型與封裝示意圖 IPPPPS D H音 頻 、 視 頻 、 數(shù) 據(jù)I P / P P PS D HW D M321103 1. PPP PPP協(xié)議最初是作為在點(diǎn)到點(diǎn)鏈路上進(jìn)行 IP通信的封裝協(xié)議， 它定義了 IP地址的分配和管理、 異步和同步封裝、 網(wǎng)絡(luò)協(xié)議復(fù)用、 鏈路配置、 鏈路質(zhì)量測試、 差錯測試等規(guī)范。 PPP是一個簡單的 OSI第二層網(wǎng)絡(luò)協(xié)議。 其頭部只有兩個字節(jié)， 沒有地址信息， 只是按點(diǎn)到點(diǎn)順序， 面向無連接。 PPP協(xié)議可將 IP數(shù)據(jù)包切成 PPP幀（符合 RFC1662： PPP in HDLCLink Framing）以滿足映射到 SDH／ So幀結(jié)構(gòu)（符合 RFC1619： PPP over SDH）上的要求。 104 1） PPP PPP協(xié)議中提供了一整套方案來解決鏈路建立、 維護(hù)、 拆除、 上層協(xié)議協(xié)商、 認(rèn)證等問題。 PPP協(xié)議包含： 鏈路控制協(xié)議 LCP（ Link Control Protocol）、 網(wǎng)絡(luò)控制協(xié)議 NCP（ Network [JP3]Control Protocol）、 認(rèn)證協(xié)議， 認(rèn)證協(xié)議最常用的有口令驗(yàn)證協(xié)議 PAP（ Password Authentication Protocol ） 和挑戰(zhàn)握手驗(yàn)證協(xié)議 CHAP（ ChallengeHandshake Authentication Protocol）。 105 LCP負(fù)責(zé)創(chuàng)建、 維護(hù)或終止一次物理連接。 NCP是一簇協(xié)議， 負(fù)責(zé)解決物理連接上運(yùn)行什么網(wǎng)絡(luò)協(xié)議， 以及解決上層網(wǎng)絡(luò)協(xié)議發(fā)生的問題。 PPP鏈路操作過程狀態(tài)遷移如圖 所示。 一個典型的鏈路建立過程分為三個階段： 創(chuàng)建階段、 認(rèn)證階段和網(wǎng)絡(luò)協(xié)商 階段。 106 圖 PPP鏈路操作過程狀態(tài)遷移圖 鏈 路 死 亡激活 打 開 鏈 路認(rèn) 證 成 功 或不 需 要 認(rèn) 證關(guān)閉鏈路認(rèn) 證 失 敗配 置 失 效鏈 路 建 立 認(rèn)證鏈 路 終 止 網(wǎng) 絡(luò) 協(xié) 議 配 置107 (1) 創(chuàng)建階段 。 LCP負(fù)責(zé)創(chuàng)建鏈路 。 在這個階段 ， 將對基本的通信方式進(jìn)行選擇 。 鏈路兩端設(shè)備通過 LCP向?qū)Ψ桨l(fā)送配置信息包 。 一旦一個配置成功信息包被發(fā)送且被接收 ， 就完成了交換 ， 進(jìn)入了 LCP開啟狀態(tài) 。 應(yīng)當(dāng)注意 ， 在鏈路創(chuàng)建階段 ， 只是對驗(yàn)證協(xié)議進(jìn)行選擇 ， 而不作用戶驗(yàn)證 。 108 (2) 認(rèn)證階段 。 在這個階段 ， 客戶端會將自己的身份發(fā)送給遠(yuǎn)端的接入服務(wù)器 。 該階段使用一種安全驗(yàn)證方式避免第三方竊取數(shù)據(jù)或冒充遠(yuǎn)程客戶接管與客戶端的連接 。 在認(rèn)證完成之前 ， 禁止從認(rèn)證階段前進(jìn)到網(wǎng)絡(luò)層協(xié)議階段 。 如果認(rèn)證失敗 ， 認(rèn)證者應(yīng)該躍遷到鏈路終止階段 。 在這一階段里 ， 只有鏈路控制協(xié)議 、 認(rèn)證協(xié)議和鏈路質(zhì)量監(jiān)視協(xié)議的信息包是被允許的 。 在該階段里接收到的其他的信息包必須被丟棄 。 最常用的認(rèn)證協(xié)議有口令驗(yàn)證協(xié)議 （ PAP） 和挑戰(zhàn)握手驗(yàn)證協(xié)議 （ CHAP） 。 109 (3) 網(wǎng)絡(luò)協(xié)商階段 。 認(rèn)證階段完成之后 ， PPP將調(diào)用在鏈路創(chuàng)建階段選定的各種網(wǎng)絡(luò)控制協(xié)議 （ NCP） 。 選定的 NCP解決 PPP鏈路之上的高層協(xié)議問題 ， 例如 ， 在該階段 IP控制協(xié)議 （ IPCP） 可以向撥入用戶分配動態(tài)地址 。 這樣 ， 經(jīng)過三個階段以后 ， 一條完整的 PPP鏈路就建立起來了 。 110 2） (1) 口令驗(yàn)證協(xié)議（ PAP）。 PAP是一種簡單的明文驗(yàn)證方式。 NAS（網(wǎng)絡(luò)接入服務(wù)器， Network Access Server）要求用戶提供用戶名和口令， PAP以明文方式返回用戶信息。 PAP通過兩次握手， 完成對等實(shí)體之間相互身份確認(rèn)的方法， 它只能在鏈路剛建立時使用， 在鏈路存在期間， 不能重復(fù)用 PAP對對等實(shí)體之間身份進(jìn)行確認(rèn)。 111 在數(shù)據(jù)鏈路處于打開狀態(tài)時， 需要認(rèn)證的一方反復(fù)向?qū)Ψ剑ㄕJ(rèn)證者）傳送用戶標(biāo)識符和口令， 直到認(rèn)證者回送一個確認(rèn)信 息或者數(shù)據(jù)鏈路被終止。 很明顯， 這種驗(yàn)證方式的安全性較差， 第三方可以很容易地獲取被傳送的用戶名和口令， 并利用這些信息與 NAS建立連接獲取 NAS提供的所有資源。 所以， 一旦用戶密碼被第三方竊取， PAP就無法提供避免受到第三方攻擊的保障措施。 112 (2) 挑戰(zhàn) —握手驗(yàn)證協(xié)議（ CHAP）。 CHAP是一種加密的驗(yàn)證方式， 能夠避免建立連接時傳送用戶的真實(shí)密碼。 CHAP通過三次握手的方法周期性地驗(yàn)證對方身份， 它不僅在數(shù)據(jù)鏈路剛建立時使用， 而且可以在整個數(shù)據(jù)鏈路存在期間重復(fù)使用。 在數(shù)據(jù)鏈路處于打開時， 認(rèn)證者需要向認(rèn)證的 PPP實(shí)體發(fā)送一個挑戰(zhàn)消息， 需要認(rèn)證的 PPP實(shí)體按照事先給定的算法對挑戰(zhàn)消息進(jìn)行計算， 將計算結(jié)果返回給認(rèn)證者， 認(rèn)證者將返回的計算結(jié)果和自己在本地計算后得到的結(jié)果進(jìn)行比較， 若一致， 則表示認(rèn)證通過， 給需要認(rèn)證的 PPP實(shí)體發(fā)送認(rèn)證確認(rèn)幀， 否則， 應(yīng)該終止數(shù)據(jù)鏈路。 113 在不同的認(rèn)證過程中 ， 必須傳輸不同的挑戰(zhàn)消息 ， 使得每一次返回的計算結(jié)果都不相同 ， 防止黑客用上一次截獲的計算結(jié)果來欺騙認(rèn)證者 。 對挑戰(zhàn)消息進(jìn)行計算的方法絕對不能從挑戰(zhàn)消息和計算結(jié)果中推導(dǎo)出來 ， 一般采用加密計算方法 ， 密鑰必須只有認(rèn)證者和需要認(rèn)證的 PPP實(shí)體知道 ， 而且不能用明碼的方式傳輸密鑰 。 所以 ， CHAP認(rèn)證協(xié)議適用于數(shù)據(jù)鏈路兩端都能訪問到共同密鑰的情況 。 114 在保證挑戰(zhàn)消息唯一性的同時 ， 必須保證挑戰(zhàn)消息的隨機(jī)性 ， 讓黑客不能預(yù)測認(rèn)證者的挑戰(zhàn)消息 ， 否則黑客能夠冒充認(rèn)證者向某個 PPP實(shí)體發(fā)送預(yù)測的挑戰(zhàn)消息 ， 并將收到的 、 根據(jù)預(yù)測的挑戰(zhàn)消息返回的計算結(jié)果存儲起來 ， 在向認(rèn)證者登錄時 ， 如果認(rèn)證者發(fā)送的挑戰(zhàn)消息果真是黑客預(yù)測的挑戰(zhàn)消息 ， 黑客就能夠用存儲的計算結(jié)果來欺騙認(rèn)證者 。 因此 ， 挑戰(zhàn)消息的產(chǎn)生算法應(yīng)該采用產(chǎn)生幻數(shù)的隨機(jī)算法 ， 并保證隨機(jī)算法種子的隨機(jī)性 。 115 2. 簡化的數(shù)據(jù)鏈路協(xié)議 （ SDL） 在 IP／ PPP／ HDLC／ SDH中， 使用的基于 HDLC的幀定界協(xié)議存在一些問題， 主要表現(xiàn)在： 用戶使用 HDLC幀時， 網(wǎng)管需要對每一個輸入、 輸出字節(jié)都進(jìn)行監(jiān)視。 當(dāng)用戶數(shù)據(jù)字節(jié)的編碼與標(biāo)志字節(jié)相同時， 網(wǎng)管需要進(jìn)行填充、 去填充操作。 116 為此， Lucent提出了簡化數(shù)據(jù)鏈路協(xié)議 SDL（ Simplified Data Link）， 用以替代HDLC協(xié)議， 它的鏈路速率可達(dá)到 Gb/s（ OC